Los investigadores on-chain han identificado criptomonedas robadas presuntamente adicionales que se mueven hacia Zcash (ZEC), con fondos supuestamente vinculados a tres incidentes de seguridad separados que involucran a Bitget, Cryptobills Ledger y Triple-A.
Resumen
- El investigador on-chain Specter vinculó recientemente fondos presuntamente robados de tres incidentes de seguridad con transacciones en Zcash.
- ZachXBT rastreó aproximadamente 2.700 ZEC hacia el pool protegido Ironwood de Zcash tras la brecha de Bitget en septiembre.
- Bitget confirmó que aproximadamente 387,5 millones de dólares llegaron a direcciones controladas por atacantes durante la investigación de su incidente de seguridad del 24 de septiembre.
- Specter identificó fondos de Cryptobills Ledger y Triple-A entrando en Zcash sin publicar públicamente evidencia completa a nivel de transacción.
- Zcash activó Ironwood en julio de 2026, creando un nuevo pool protegido tras una vulnerabilidad en Orchard.
En una publicación del 17 de octubre en X, el analista de blockchain Specter informó que fondos asociados con el incidente de Cryptobills Ledger y el exploit de Triple-A de 12 millones de dólares habían entrado en Zcash, tras hallazgos anteriores del investigador ZachXBT sobre activos robados de Bitget.
Las últimas acusaciones se refieren al movimiento de criptomonedas robadas hacia una red centrada en la privacidad que permite a los usuarios ocultar ciertos detalles de las transacciones. Sin embargo, Specter no proporcionó públicamente un rastro completo de las transacciones ni estableció cuánto dinero de los dos incidentes adicionales había entrado en ZEC.
El informe sigue a la brecha de seguridad de Bitget en septiembre, que el exchange valoró en aproximadamente 387,5 millones de dólares tras revisar transacciones en varias blockchains. La cifra de pérdidas confirmada por Bitget abarca todo el incidente y no representa la cantidad que supuestamente se movió hacia Zcash.
Zcash atrae fondos vinculados a tres incidentes de seguridad cripto
Los hallazgos de Specter identificaron actividad que involucra fondos presuntamente conectados con Bitget, Cryptobills Ledger y Triple-A. El analista describió a múltiples presuntos atacantes transfiriendo criptomonedas hacia ZEC después de que ZachXBT revelara el uso de las funciones de privacidad de Zcash en el caso de Bitget.
La cuenta del 17 de octubre identificó el incidente de seguridad de Cryptobills Ledger como una fuente de las transferencias sospechosas. Mencionó por separado fondos del exploit de Triple-A, que supuestamente involucró 12 millones de dólares en criptomonedas robadas.
Ni el valor de las transferencias de Cryptobills Ledger ni la cantidad atribuida a Triple-A se establecieron en la información hecha pública. La investigación no reveló si los presuntos actores utilizaron las mismas direcciones de billetera o coordinaron sus movimientos.
Según el relato de Specter, la actividad involucró a varios actores de amenazas. El investigador no afirmó que un solo atacante fuera responsable de los tres incidentes.
Zcash admite transacciones que pueden ocultar información sobre remitentes, destinatarios y montos transferidos. Su tecnología de privacidad puede impedir que observadores externos vean los detalles de las transacciones una vez que los activos entran en un pool protegido.
Sin embargo, las acusaciones del investigador no establecen que cada transferencia reportada se haya ocultado con éxito ni que los fondos hayan llegado a su destino final.
Los investigadores pueden identificar ciertos depósitos en pools protegidos, pero el registro público disponible no revela necesariamente hacia dónde se mueven los fondos después.
ZachXBT rastrea el producto del robo a Bitget hacia Ironwood
La investigación se basa en los hallazgos compartidos por ZachXBT el 30 de septiembre sobre criptomonedas robadas de Bitget.
Según el investigador, las billeteras presuntamente asociadas con los atacantes transfirieron aproximadamente 2.700 ZEC hacia el pool protegido Ironwood de Zcash. Valoró las transferencias en aproximadamente 3,8 millones de dólares en ese momento.
Sus hallazgos siguieron al robo del 24 de septiembre que involucró la infraestructura de billetera caliente de Bitget. ZachXBT identificó por separado aproximadamente 18.900 ZEC, valorados en 28,3 millones de dólares según la valoración reportada, entre los activos asociados con el incidente.
El investigador proporcionó referencias de transacciones conectadas con depósitos en el pool protegido. Esas referencias respaldan el rastreo de fondos hasta las transacciones de depósito identificadas, pero no establecen sus destinos después de la protección.
Ironwood es un pool protegido de Zcash más reciente introducido mediante la actualización de la red del 28 de julio de 2026. Utiliza tecnología derivada del sistema Orchard anterior mientras mantiene una contabilidad separada para transacciones y saldos.
La actualización de red Zcash Ironwood se produjo tras el descubrimiento de una vulnerabilidad en Orchard que podría haber permitido que monedas falsificadas circularan sin ser detectadas.
Los desarrolladores introdujeron salvaguardas que restringen las transferencias desde el grupo anterior y crearon un grupo de reemplazo con protecciones criptográficas actualizadas. La actualización fue diseñada para hacer que el suministro circulante de Zcash fuera verificable de forma independiente.
Ironwood no se introdujo como un mecanismo antilavado de dinero. Su propósito principal era abordar el problema de seguridad de Orchard mientras se mantenía la funcionalidad de transacciones blindadas.
Las características de privacidad del protocolo siguen disponibles para usuarios legítimos y pueden ser utilizadas por actores maliciosos. Las acusaciones del 17 de octubre se refieren al presunto uso de esas características por parte de atacantes, no a una nueva vulnerabilidad en el protocolo Ironwood.
Bitget confirma el robo de 387,5 millones de dólares en la brecha de septiembre
El incidente de seguridad de Bitget del 24 de septiembre involucró transferencias no autorizadas desde partes de su infraestructura de billeteras calientes y tibias.
El exchange estimó inicialmente los activos afectados en 351,6 millones de dólares. Su actualización de seguridad del 25 de septiembre elevó la cifra a aproximadamente 387,5 millones de dólares tras un rastreo adicional en blockchain y la clasificación de transacciones.
Bitget explicó que la estimación revisada incorporó activos afectados en Zcash y TRON que no se incluyeron en el cálculo original. La diferencia de 35,9 millones de dólares resultó de una contabilidad más completa del incidente, no de otra ola de robo confirmada.
El exchange identificó activos afectados en redes compatibles con Ethereum, XRP Ledger, Zcash y TRON. Su lista incluía XRP, ETH, USDT, ZEC, USDC, BNB, AVAX y varios otros tokens.
Investigaciones independientes de SlowMist y la firma de ciberseguridad propiedad de Google, Mandiant, examinaron posteriormente el ataque. Bitget informó que ambas investigaciones identificaron productos de seguridad de terceros comprometidos que permitieron el acceso no autorizado al entorno de billeteras del exchange.
Como crypto.news informó anteriormente, Bitget reanudó los retiros de Bitcoin el 28 de septiembre después de suspender temporalmente los servicios de retiro mientras investigaba la brecha.
El exchange declaró que los atacantes no habían comprometido sus billeteras frías ni obtenido claves privadas. Sostuvo que los saldos de las cuentas de los clientes permanecieron intactos y comprometió su Fondo de Protección al Usuario para cubrir la pérdida financiera.
En un anuncio del 30 de septiembre, Bitget informó que repuso el fondo de protección a más de 300 millones de dólares. Su actualización de prueba de reservas de septiembre mostró por separado un ratio de reserva combinado del 131% en 19 activos cubiertos.
Los investigadores identifican intentos anteriores de ocultar fondos robados
Las transferencias reportadas de Zcash no son los primeros intentos de los atacantes vinculados a la brecha de Bitget de mover activos a través de servicios diseñados para complicar el rastreo de transacciones.
Tras el ataque de septiembre, la firma de análisis de blockchain AMLBot rastreó aproximadamente cuatro BTC vinculados al incidente entrando en una transacción Wasabi CoinJoin.
Las transferencias CoinJoin del hacker de Bitget supuestamente siguieron una ruta que involucraba TRON, USDT0, Ethereum, THORChain y Bitcoin.
CoinJoin combina las entradas y salidas de transacciones de varios participantes, lo que dificulta determinar qué salida pertenece a un remitente individual.
Un rastreo de blockchain separado identificó aproximadamente 2.390 ETH convertidos en 75,2 BTC a través de 27 transacciones en THORChain, con un valor de alrededor de 6,3 millones de dólares en ese momento.
Bitget había solicitado que THORChain restringiera las direcciones vinculadas al robo. Los operadores de la red sostuvieron que sus controles de emergencia podían suspender la actividad de la red pero no podían bloquear selectivamente el swap de un usuario individual.
En los días posteriores a la brecha, Bitget introdujo un programa de recompensas por recuperación que ofrece recompensas por asistencia elegible para congelar y recuperar activos robados.
El programa proporciona el 5% de los fondos congelados con éxito a los contribuyentes que cumplan los requisitos y un 5% separado para los fondos recuperados con éxito mediante acciones voluntarias elegibles.
Bitget excluyó de la elegibilidad para la recompensa las acciones realizadas bajo órdenes judiciales o instrucciones de las fuerzas del orden. Conservó la responsabilidad final de determinar las contribuciones que cumplen los requisitos y calcular los pagos.
La investigación de recuperación de Bitget sigue activa
Mientras los investigadores continúan siguiendo los activos robados, el exchange ha puesto a disposición de empresas de seguridad, proyectos de blockchain y otras organizaciones involucradas en el rastreo las direcciones de los atacantes identificadas.
Su anuncio del 25 de septiembre incluía direcciones en redes compatibles con Ethereum, XRP Ledger, Zcash y TRON, junto con un sistema público de reporte de recuperación.
Bitget dijo que el panel de rastreo se actualizaría a medida que los investigadores identificaran billeteras o movimientos adicionales asociados con el incidente. El exchange alentó a los custodios, emisores de stablecoins y plataformas de trading a reportar hallazgos relevantes.
La brecha de septiembre representó el mayor incidente individual en el mes de hackeos de 768 millones de dólares de las criptomonedas, según los hallazgos del 1 de octubre de las firmas de seguridad blockchain PeckShield y CertiK.
PeckShield registró 766,5 millones de dólares en 55 incidentes importantes de septiembre, mientras que CertiK estimó 768,4 millones de dólares en 97 incidentes. Sus totales utilizaron métodos de reporte diferentes y contabilizaron montos brutos afectados, incluidos los activos recuperados posteriormente.
Para las transferencias de Zcash recién reportadas, Specter no ha divulgado una contabilidad completa de los fondos asociados con Cryptobills Ledger o Triple-A. No se ha establecido un monto de recuperación confirmado ni un destino final para esas transferencias específicas.
